Почему хэширование отличается после сброса?

Question

Я создал аккуратную систему для сотовых и хэш-пользователей паролей, отправил им электронное письмо, чтобы сбросить запрос, если они забудут их.

Я могу хэш $_POST на лету и солить его с уникальной солью пользователей, хранящейся в их ряду, и сопоставить его с сохраненным хешированным паролем и подписать их. Когда они сбросят свой пароль и попытаются подписать in, вводимые $ _POST не соответствуют сохраненному pw. Это тот же самый процесс.

Любая идея, почему это может быть?

Вот соответствующая часть сценария:

$query = "SELECT `encrypted_password`,`salt` FROM `Users` WHERE `Email` = '" . stripslashes(mysql_real_escape_string($_POST['email'])) . "'"; 
    $request = mysql_query($query,$connection) or die(mysql_error()); 
    $result = mysql_fetch_array($request); 


    $salty_password = sha1($result['salt'] . stripslashes(mysql_real_escape_string($_POST['password']))); 

    // SEE HOW THEY COMPARE 
    echo "Users real salted pass: " . $result['encrypted_password'] . "/Salty Password to check: " . $salty_password . "<br />"; 

    $query2 = "SELECT * FROM `Users` WHERE `Email` = '". stripslashes(mysql_real_escape_string($_POST['email'])."' AND `encrypted_password` = '$salty_password'"; 
    $request2 = mysql_query($query2,$connection) or die(mysql_error()); 
    $result = mysql_fetch_array($request2); 

--edit ---

это может помочь, чтобы увидеть, как быть сброса пароля?

$query = "SELECT * FROM `Password_Reset` ORDER BY `id` DESC LIMIT 1"; 
$request = mysql_query($query,$connection) or die(mysql_error()); 
$result = mysql_fetch_array($request); 

$token = $result['token']; 

$alpha = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcedfghijklmnopqrstuvwxyz1234567890"; 
$rand = str_shuffle($alpha); 
$salt = substr($rand,0,40); 
$hashed_password = sha1($salt . stripslashes(mysql_real_escape_string($_POST['Password']))); 
$user_email = $result['email']; 

    if(isset($_POST['sub_settings'])){ 


     if(empty($_POST['Password'])) { 
      $valid = false; 
      $error_msgs[] = 'Whoops! You must enter a password.'; 
     } 

     if($_POST['Password'] != $_POST['passwordConfirm'] || empty($_POST['Password'])) { 
      $valid = false; 
      $error_msgs[] = "Your password entries didn't match...was there a typo?"; 
     } 

     if($valid) { 
      $query = "UPDATE `Users` SET `encrypted_password` = '$hashed_password' WHERE `Email` = '$user_email'"; 

      mysql_query($query,$connection); 

Answer 1

Похоже, вы генерируете случайную соль, когда пароль сбрасывается, но не храните ее в базе данных. Затем проверка пароля использует предыдущую соль.

---

Кроме того, нет необходимости дезинфицировать пароль перед подачей его в sha1. Фактически, с использованием stripslashes и mysql_real_escape_string могут возникнуть проблемы, поскольку обе функции могут преобразовывать пароль по-разному в зависимости от версии PHP и конфигурации, что дает другой хэш.